Mostrar librerias cargadas en programa

[Vaagish]

Hola! Estoy intentando mostrar todas las librerias que carga el ejecutable, pero no logro mostrar el nombre, muestra la direccion.. Que me esta faltando poner??

Código (asm) [Seleccionar] Expandir

.386
.model flat, stdcall
option casemap:none
assume fs: nothing

include windows.inc
include masm32rt.inc
includelib masm32rt.lib

ObtenerModulos PROTO

.code
start:

invoke ObtenerModulos
inkey "pause"

ObtenerModulos proc

push 30h
pop esi
lodsd fs:[esi]
mov eax, [eax + 0Ch]
lea eax, [eax + 0Ch]
NextModule:
assume eax: ptr LIST_ENTRY
mov eax, [eax].Flink
assume eax: nothing
mov ebx, [eax + 30h]

cmp ebx, 0
je Exit

push eax
print str$(ebx),13,10
pop eax

jmp NextModule

Exit:
ret

ObtenerModulos endp

end start

Saludos!!

[cpu2]

Bueno, vengo a ayudarte a medias, se lo que hace ese codigo, pero no conozco como funciona Windows, pero he visto papers sobre esto.

Simplemente comento porque no se ha que viene todo esto.

Código (asm) [Seleccionar] Expandir

.ObtenerModulos proc

push 30h
pop esi
lodsd fs:[esi]


No es mejor cargar la direccion directamente?

Código (asm) [Seleccionar] Expandir

movl %fs:0x30, %eax

; supongo que en intel sera asi

mov eax, fs:[30h]

Un saludo.

[Vaagish]

Código (asm) [Seleccionar] Expandir

movl %fs:0x30, %eax

; supongo que en intel sera asi

mov eax, fs:[30h]

Efectivamente, funciona perfecto en intel..

No es mejor cargar la direccion directamente?

Y al parecer, tambien tenes razon.. La verdad es que a mi me queda mucho por aprender de ASM.. y habia entendido el codigo de la primer manera que lo vi.. ahora no entiendo porque encontre esa forma que es mas rebuscada,, supongo, quizas.. porque todos los ejemplos que vi son shellcodes y cosas por el estilo,, quizas sea una forma de "camuflar" la intencion... pero la verdad, tampoco estoy seguro...

Gracias cpu2! Saludos!

[Eternal Idol]

Sera un problema con esas macros, proba con MessageBoxW.

[Vaagish]

Perfect! Si no me equivoco, el puntero esta en ebx,, no? Mas precisamente en esta linea:

Código (asm) [Seleccionar] Expandir

mov ebx, [eax + 30h]

Yo intente cambiar el valor por la direccion,, con "[]" que si no me equivoco es como decir "la direccion de" pero no me funciono,, se quedaba colgado  

Saludos!


[Edit]

Sera un problema con esas macros, proba con MessageBoxW.

Opss.. hubo un cambiazo.. pruebo con eso a ver que panza..

Gracias! Saludos!

[Eternal Idol]

Si, me equivoque como dijiste que se veia la direccion y no tengo el MASM32 instalado ahora   Igual ya lo probe a mano, con MessageBoxW funciona, ojo que nada te asegura que sean cadenas los Buffer, por eso UNICODE_STRING tiene campos de tamaño.

Código (asm) [Seleccionar] Expandir

mov eax, fs:[30h]
mov eax, [eax + 0Ch]
lea eax, [eax + 0Ch]
mov eax, [eax]
mov ebx, [eax + 30h]
invoke MessageBoxW, 0, ebx, ebx, 0

[Vaagish]

Sera un problema con esas macros, proba con MessageBoxW.

Si señor.. ahi si que funciona!

Código (asm) [Seleccionar] Expandir

invoke MessageBoxW, NULL, ebx, addr Titulo, MB_OK

El titulo sale mocho porque es W, pero no importa.. paso a explicar,, estoy viendo cual es, o son las librerias que inyecta el AV cuando pone un ejecutable en la SandBox,, o cuales le inyecta porque si nomas.. y ahora viendo eso justamente,, veo que me carga la libreria "RocketDock.dll", esto quiere decir que el dock hace su chanchada tambien?? Aparte hay un monton de librerias cargadas.. propio de Win7 quizas??

Saludos!

Advertencia - mientras estabas escribiendo, una nueva respuesta fue publicada. Probablemente desees revisar tu mensaje.

ojo que nada te asegura que sean cadenas los Buffer, por eso UNICODE_STRING tiene campos de tamaño

Habia leido algo de eso si.. entonces puedo tener caracteres extraños sin 0 al final.. nop?

[Eternal Idol]

El titulo sale mocho porque es W, pero no importa.. paso a explicar,, estoy viendo cual es, o son las librerias que inyecta el AV cuando pone un ejecutable en la SandBox,, o cuales le inyecta porque si nomas.. y ahora viendo eso justamente,, veo que me carga la libreria "RocketDock.dll", esto quiere decir que el dock hace su chanchada tambien?? Aparte hay un monton de librerias cargadas.. propio de Win7 quizas??

¿RocketDock? No tengo eso, tal vez sea un software que instalaste:
http://www.file.net/process/rocketdock.dll.html

Fijate con el Dependency Walker cuales tenes enlazadas estaticamente en tu ejecutable y en otras DLLs que se carguen. El subsystem de Windows necesita NTDLL.dll y con alguna funcion (ejemplo MessageBoxW que carga User32.dll y esta varias mas) casi seguro cargas Kernel32.dll y esta a su vez Kernelbase.dll.

Habia leido algo de eso si.. entonces puedo tener caracteres extraños sin 0 al final.. nop?

El buffer termina en el ultimo caracter valido, despues de eso la memoria corresponde a otra cosa.

[Vaagish]

¿RocketDock? No tengo eso, tal vez sea un software que instalaste:

Ha,, sii.. es un dock que tengo instalado.. pero no se que hace metiendose en otros procesos.. 

Fijate con el Dependency Walker cuales tenes enlazadas estaticamente en tu ejecutable y en otras DLLs que se carguen. El subsystem de Windows necesita NTDLL.dll y con alguna funcion (ejemplo MessageBoxW que carga User32.dll y esta varias mas) casi seguro cargas Kernel32.dll y esta a su vez Kernelbase.dll.

Es verdad,, estan esas librerias tambien que no tome en cuenta..

Gracias EI! Saludos!

[cpu2]

Efectivamente, funciona perfecto en intel..

Y al parecer, tambien tenes razon.. La verdad es que a mi me queda mucho por aprender de ASM.. y habia entendido el codigo de la primer manera que lo vi.. ahora no entiendo porque encontre esa forma que es mas rebuscada,, supongo, quizas.. porque todos los ejemplos que vi son shellcodes y cosas por el estilo,, quizas sea una forma de "camuflar" la intencion... pero la verdad, tampoco estoy seguro...

Gracias cpu2! Saludos!

Si, eso esta mas enfocado para las shellcode´s, ya que asi se "juega" mas con otros opcodes y no salta a la vista tan rapido, de poder puedes usar hasta la FPU.

Pero simplemente comente, porque no tiene ningun sentido hacer todo lo que te indique antes, es hasta estupido, sin ofender.

Un saludo.

P.D: Segun estoy viendo, estas enserio con el malware.